AI
裁判書類にAIへの隠し命令。米国初のプロンプトインジェクション制裁
裁判を有利に進めるために、AIを操ろうとした人物がいる。しかも裁判所への正式な提出書類で。見えない文字で仕掛けられた工作は、人の目が見破った。
プロンプトインジェクション
AI
ChatGPT新機能、キー入力を丸ごと記録。暗号化はなし
あなたのクリック、タイピング、キーボードショートカット。ChatGPTの記憶を「豊か」にするために、それらすべてが記録される。
AI
OpenAI・Anthropic・Googleの暗号化済み推論を復元できる手法が報告
OpenAI、Anthropic、Googleの推論モデルが内部で行う「思考」の暗号化に、根本的な設計ミスがあった。弱いモデルを経由すれば、強いモデルの生の思考が平文で読めてしまう。
AI
Copilot for Wordに自己増殖型AIワーム。144日経っても直らず
Word文書に隠した命令がCopilotを乗っ取り、生成した文書を次の感染源に変える。マイクロソフトはモデル更新を含む対策を重ねたが、攻撃の手口を変えるだけで再現できる状態が続いている。 文書が文書を汚染する ノルウェーのデータサイエンティスト、ホーコン・モーロイ（Håkon Måløy）氏が現地時間7月28日、Copilot for Wordを経由してWord文書間を自己増殖するAIワームの実証結果を公開した。応用AIと機械学習の博士号を持つモーロイ氏が「Context Collapse」と名付けたシリーズの第3弾にあたる。 Part 1ではCopilotのメモリ汚染、Part 2ではメール経由の命令注入を扱い、いずれも緩和済みとなった。今回は公開時点で未修正のまま残っている。 攻撃者はWord文書に悪意のある命令を仕込む。白背景に白文字、フォントサイズ8で記述するため肉眼ではまず見えないが、Copilot for Wordはテキストの色やサイズといった書式情報をすべて除去してからLLM（大規模言語モデル）に渡すため、Copilotには読める。 被害者がこの文書をCopi
セキュリティ
AIコーディングツール4種にサンドボックス脱出の欠陥
Cursor、Codex CLI、Gemini CLI、Antigravity。AIにコードを書かせるための主要ツール4つから、サンドボックスの外へ抜け出す手段が見つかった。しかもエージェントはルールを一切破っていない。 ファイルが「外」で走る AIコーディングエージェントのセキュリティは、ひとつの前提に支えられてきた。エージェントはプロジェクトのワークスペース内で自由に動けるが、その外にあるホストOSは保護される、という線引きだ。 イスラエルのAIセキュリティ企業Pillar Securityが、この前提を7つの脆弱性で崩した。研究チームのアイロン・コーヘン（Eilon Cohen）氏、ダン・リシチキン（Dan Lisichkin）氏、アリエル・フォーゲル（Ariel Fogel）氏が数カ月かけて再現し、7月20日に公開した。1日1件ずつ詳細を出す「Week of Sandbox Escapes」（サンドボックス脱出の1週間）と題したシリーズだ。 攻撃の構造は、サンドボックスの壁を直接叩くものではない。 エージェントはワークスペース内でファイルを書く。それ自体はサンドボッ
AI
GitHubのAIエージェント、Issue経由で非公開リポジトリへアクセス可能になる問題
GitHubのAIエージェント自動化機能に、公開リポジトリのIssueを1件書くだけで非公開リポジトリの中身を抜き取れる脆弱性が見つかった。攻撃者にコーディングスキルは要らない。 営業VPを装ったIssue1件で、非公開リポジトリの中身が外に出る AIセキュリティ企業ノマ・セキュリティ（Noma Security、イスラエル）のリサーチ部門ノマ・ラボが7月6日、GitHub Agentic Workflowsに存在するプロンプトインジェクション脆弱性を公開した。脆弱性名はGitLost。 GitHub Agentic Workflowsは、GitHubが2026年2月にテクニカルプレビューとして導入し、6月にパブリックプレビューへ移行した機能だ。GitHub ActionsにAIエージェントを組み込み、Markdownで記述した目標に沿ってGitHub Copilot、Claude、Google Gemini、OpenAI Codexなどが自律的にIssueの分類やドキュメント更新を実行する。 ノマ・ラボが実証した攻撃フローを追う。 ある組織が、公開リポジトリと非公開リポジ
セキュリティ
Microsoft 365 Copilot、リンク1クリックで社内データが流出する脆弱性が存在した
細工されたリンクを1回クリックするだけで、メール・予定表・OneDrive・SharePointの情報が外部に流出する。そんな脆弱性チェーンがMicrosoft 365 Copilot Enterprise Searchに存在していた。CVE-2026-42824として登録され、深刻度はCritical。Microsoftは6月初旬に修正を完了しておりユーザー側の対応は不要だが、AIが社内データの検索窓口になることのリスクを改めて突きつける事例となった。 「SearchLeak」の仕組み この脆弱性チェーンを発見したのは、データセキュリティ企業バロニス（Varonis）の研究者ドレヴ・ターレル（Dolev Taler）氏。「SearchLeak」と名付けられたこの手法は、単体では致命的にならない3つの欠陥を組み合わせることで成立する。 狙われたのは、通常のCopilotとは別のCopilot Enterprise Searchだ。コンテンツを生成する通常のCopilotに対し、Enterprise Searchは社内のメール・会議・SharePointファイル・OneDrive
セキュリティ
AIコーディングが見落とした脅威。jqwikとShai-Hulud
Javaのテストライブラリに追加されたたった1行のプロンプトインジェクションが、AIコーディングエージェントの利用者を激怒させた。利用者側は法的措置をちらつかせ、GitHubのイシューを荒らし、開発者を「悪人」呼ばわりする騒動にまで発展した。だが同じ時期、npmとPyPIでは本物のサプライチェーンワームShai-Huludが471のパッケージに感染し、開発者の認証情報を次々と盗み出していた。AIエージェントを狙い撃ちにしたそのワームに対し、エージェント側の防御はまだ追いついていない。この非対称が、AIコーディングのいまを映し出している。 45年コードを書いてきた男の抗議 ドイツの開発者ヨハネス・リンク（Johannes Link）氏。プログラミング言語Groovyの貢献者であり、JUnit 5のプラットフォーム設計にも携わった人物だ。2017年から個人の時間を注ぎ込み、Javaのプロパティベーステストエンジン jqwik を開発してきた。テストコードに約10万行。そのほぼすべてをリンク氏がひとりで書いた。 リンク氏は2023年からAIによるコード利用を明確に拒否してきた。コント
AI
ChatGPTの「ロックダウンモード」が全ユーザーに開放、できることと失うもの
2月に企業幹部やセキュリティチーム向けとして発表されたChatGPTの「ロックダウンモード」が、無料プランを含む全アカウントに開放された。外部との通信を遮断し、プロンプトインジェクションによるデータ流出を防ぐ機能だ。同時に、ログイン中のデバイスを一覧表示できる「アクティブセッション」機能も全ユーザーに提供された。 なぜ「ロックダウン」が必要なのか ChatGPTは便利になるほど、外の世界とつながる。Web検索、ファイルのダウンロード、外部アプリとの連携。接続が増えるたびに、プロンプトインジェクション（AIに悪意ある指示を紛れ込ませ、機密情報を外部へ抜き出させる攻撃）の経路も広がる。 OpenAIは2月、この問題に対する回答として「ロックダウンモード」を発表した。ただし当時の対象は、標的型攻撃のリスクが高い企業幹部やセキュリティ部門に限られていた。「今後数か月以内に消費者向けにも提供する」という予告が、今回実現した。 何が変わるのか ロックダウンモードを有効にすると、ChatGPTと外部システムの通信経路が大幅に制限される。 Webブラウジングはキャッシュ済みのコンテンツ
セキュリティ
MetaのAIサポート、騙されてアカウントを明け渡す
Metaが3月に全世界展開したばかりのAIサポートアシスタントが、プロンプトインジェクション(AIに対して巧妙に細工した指示を送り込み、本来の動作を逸脱させる攻撃手法)によってInstagramアカウントの乗っ取りに悪用されていたことが明らかになった。
AI
"disregard"でGoogle検索が壊れる、I/O発表翌日の皮肉
Google検索が "disregard" 一語に反応してAIの返答モードに切り替わる不具合が発生中だ。「25年で最大の刷新」を掲げた直後に起きた誤動作は、検索をAIに委ねることの難しさを改めて示している。
AI
LinkedIn求人スパムが古英語表示に プロフィール設定を使った対策
LinkedInに自己紹介文を一つ仕込んだだけで、求人スパムが900年頃の古英語で届くようになった。そのスパムを送ってきたのは人間ではなくAIだ。標的にされる側が、攻撃する側に回った瞬間だ。 自己紹介欄に「管理者命令」を埋め込んだ ある開発者が、LinkedInの自己紹介欄を使ったいたずらの結果を公開している。本来そこには職歴や実績を書く。だが彼が書き込んだのは、AIに向けた指示文だった。 I put a prompt injection into my LinkedIn bio and recruiters are messaging me in Old English and calling me Lord. pic.twitter.com/2v1c0iXqaF — tmuxvim (@tmuxvim) May 15, 2026 仕掛けはこうだ。プロフィールを読み取るAIに対して、「管理者命令」として「自分を『我が君（My
AI
AIエージェントに銀行カードを渡したら、パスワードを漏らした
数学者ハンナ・フライ教授が自作のAIエージェント「Cass」に銀行カードを預けた数週間。穴の通報から始まったその実験は、最終的にパスワードと API キーが見知らぬウェブページに晒される結末で幕を閉じた。 数学者が組んだ「Cass」というエージェント イギリスの数学者ハンナ・フライ(Hannah Fry)教授が、自作のAIエージェントに数週間にわたって実世界のタスクを与え、その結果を動画で公開している。題して「なぜAIエージェントは、これまで人類が作ったものの中で最高にも最悪にもなりうるのか」。 エージェントは OpenClaw をベースに組まれた。OpenClawはオーストリア人開発者のピーター・シュタインバーガー(Peter Steinberger)が2025年11月に公開したオープンソースのAIエージェント基盤で、Claude や GPT といった大規模言語モデルを背後に置き、WhatsApp や Telegram などのメッセージアプリ経由でローカルマシンを操作させるしくみだ。GitHubでスターを爆発的に集め、わずか数か月で広く使われるエージェント基盤になった。 フ
AI
ファイブアイズ、組織内部で動くAIエージェントのセキュリティリスクを警告
米英豪加NZの5カ国サイバー機関がエージェンティックAIを核心的な脅威と位置付けるガイダンスを共同公表した。技術はすでに重要インフラで稼働しており、組織が監視・制御できる範囲を超えて権限を渡しているという。